外部監査は、BCMSが関連する規格、ポリシー、および規制要件に準拠していることを独立した立場から検証するものです。CBCI 7.0コースでは、監査は事業継続プロセスと管理策の設計、実装、および有効性を評価し、システムが意図したとおりに機能していることを利害関係者に保証することを明確にしています。監査は、運用準備状況や管理パフォーマンスを具体的に検証するのではなく、適合性と管理の完全性に焦点を当て、システム改善に関する十分な情報に基づいた意思決定を可能にします。
参考資料:CBCI 7.0 学習ガイド、モジュール 6: 監査とレビュー、135 ～ 138 ページ。

CBCI 7.0コースでは、リスク評価は基本的に、リスク発生の可能性と、それが現実のものとなった場合の影響を評価することに依存していることを解説します。この確率論的アプローチにより、優先順位付けと対応計画が可能になります。リスク評価は事業影響評価（BIA）や規制遵守にも役立ちますが、その主な目的は、潜在的なリスクを影響度と確率の観点から分析し、効果的な事業継続戦略を導くことです。
最新性（適時性）は重要ですが、すべてのリスク決定の基礎となる可能性と結果の評価の品質に比べると二次的なものです。
参考資料:CBCI 7.0 学習ガイド、モジュール 3: リスク評価の基礎、48 ～ 51 ページ。

重要なサプライチェーン機能の継続性を維持するには、サプライヤーの能力を組織のRTO（目標復旧時間）と整合させることが不可欠です。CBCI 7.0コースでは、サプライヤーは業務の中断を回避するために、組織の復旧要件を満たす時間枠内で製品またはサービスを復旧・提供できる必要があると規定されています。通常業務における品質と調達レビューは重要ですが、サプライヤーのレジリエンスを保証するものではありません。継続性能力を評価せずに、関係性のみに基づいて既存のサプライヤーを優先すると、供給に支障をきたすリスクがあります。RTOの整合を確保することは、サプライヤー戦略策定における重要な基準です。
参考資料:CBCI 7.0 学習ガイド、モジュール 5: サプライヤーおよびリソース戦略、97 ～ 100 ページ。

リスク対応はリスク管理プロセスにおける基本的なフェーズであり、特定されたリスクをどのように管理し、その潜在的な影響や発生可能性を低減するかに焦点を当てています。CBCI 7.0コースでは、リスク対応とは、リスクの発生を防止するか、組織への悪影響を最小限に抑えるための対策を選択し、実施することであると明確に説明されています。このステップは、主要な事業活動を阻害する可能性のある許容できないリスクの軽減に直接影響を与えるため、レジリエンスの構築に不可欠です。責任の割り当て、リスクのスコアリング、報告は重要な支援活動ですが、リスク対応の中核となる目的は、リスクへの露出を効果的に低減する管理策と戦略を適用し、それによって事業継続性への備えを強化することです。
参考資料:CBCI 7.0 学習ガイド、モジュール 3: リスク管理とリスク処理、50 ～ 53 ページ。

CBCI 7.0コースでは、BIA後にリスクアセスメントを実施することで、BIAで特定された重要な活動に焦点を当て、組織がリスク対応の優先順位を効果的に決定できると述べられています。BIAは、最も重要な業務機能とその中断の影響を明らかにするため、リスクアセスメントではこれらの優先領域に影響を与える可能性のある脅威に集中することができます。この順序付けにより、リソースと軽減策は、事業継続目標に影響を与える最も重要なリスクの保護に向けられます。リソースの可用性は主な理由ではなく、リスクアセスメントは事業計画の更新やソリューションの開発を条件とするのではなく、継続的なBCMSの維持管理に不可欠な要素です。
参考資料:CBCI 7.0 学習ガイド、モジュール 3: リスク評価の統合、53 ～ 56 ページ。